El movimiento lateral significa usar credenciales robadas para pasar de una computadora a otra en un ciberataque.
Casi todos los ciberataques implican movimiento lateral. Los atacantes ingresan a una computadora, acceden a las credenciales de inicio de sesión activas en esa computadora y luego utilizan esas credenciales para moverse a otras computadoras, como computadoras portátiles, computadoras de escritorio o servidores.
El movimiento lateral permite a los atacantes cumplir con su misión: instalar ransomware en la mayor cantidad de computadoras posible o buscar datos valiosos en la red corporativa, como datos de tarjetas de crédito almacenados en servidores.
En algunos ataques, el movimiento lateral es un proceso lento, cauteloso y sigiloso administrado por un atacante humano remoto. En otros ataques, es un recorrido ultrarrápido de los puntos finales automatizados por malware que aprovecha los permisos administrativos laxos o las vulnerabilidades sin parches.
Cuando el gusano NotPetya azotó la red informática de Moller-Maersk, la empresa de contenedores de envío más grande del mundo, en 2017, el malware se diseminó a través de la red informática global de la empresa internacional en cuestión de minutos, lo que cerró las operaciones y finalmente le costó a la empresa 300 millones de dólares.
Una forma en que las organizaciones de TI pueden protegerse contra el movimiento lateral es limitando los permisos de usuario. Idealmente, los privilegios de acceso de cada usuario deben limitarse a los privilegios que necesita para realizar su trabajo. Los usuarios no deben tener acceso a cuentas o puntos finales sin tener un motivo explícito.
Desafortunadamente, hacer un seguimiento de los permisos de usuario puede ser difícil, especialmente en organizaciones con miles de usuarios y puntos finales junto con decenas o incluso cientos de grupos de usuarios. En la mayoría de las organizaciones, determinar quién tiene acceso a lo que consume mucho tiempo y es propenso a errores. Y con demasiada frecuencia, es una reflexión.
Tanium Impact ayuda a los equipos de seguridad a descubrir y reducir las rutas de movimiento lateral
Para proporcionar a las organizaciones de TI la visibilidad que necesitan para analizar los derechos de acceso y la vulnerabilidad que plantean, Tanium creó un nuevo módulo llamado Impact, una oferta de software incluida en la Tanium Platform para gestionar puntos finales con visibilidad y control incomparables.
Tanium Impact analiza las relaciones entre usuarios, grupos y puntos finales a velocidad y escala para identificar el potencial de movimiento lateral. Proporciona la capacidad de visualizar y contextualizar el ámbito administrativo y el riesgo de movimiento lateral, lo que permite priorizar los esfuerzos de corrección.
Estas son cinco maneras en las que Tanium Impact ayuda a las organizaciones de TI a protegerse contra los movimientos laterales en los ciberataques.
1. Tanium Impact muestra posibles rutas de movimiento lateral hacia y desde los usuarios, grupos y puntos finales analizados.
Impact proporciona una representación gráfica fácil de entender del potencial de movimiento lateral. En lugar de requerir que los analistas de seguridad e ingenieros de operaciones acerquen y analicen los diagramas de red complicados, Impact presenta una serie clara de enlaces hacia y desde cada usuario, grupo y endpoint.
Para un análisis integral del movimiento lateral, Impact informa sobre rutas entrantes y salientes. Las rutas entrantes muestran qué otras cuentas y puntos finales pueden iniciar sesión en un endpoint desde otro endpoint en la red.
Las rutas salientes muestran a qué otras cuentas y puntos finales puede acceder un punto endpoint, y por lo tanto qué otros puntos finales pueden ser vulnerables si ese endpoint se ve comprometido.
Ambas vistas son esenciales para comprender los riesgos de seguridad de una cuenta de usuario o endpoint en particular.
2. Tanium Impact informa datos de acceso para toda una empresa, no solo una red local.
En las grandes empresas, los equipos de seguridad deben comprender el riesgo de movimiento lateral a través de sus puntos finales, no solo aquellos en una ubicación en particular. Después de todo, con acceso a credenciales de inicio de sesión, los atacantes pueden pasar rápidamente de una red de oficina a otra.
Impact muestra rutas de acceso en toda la empresa. Es una herramienta de reportes única e integral que se escala para cubrir miles, incluso cientos de miles, de puntos finales distribuidos en múltiples oficinas, regiones y centros de datos.
Sin importar cuán grande sea la red, los equipos de TI pueden usar Impact para comprender y gestionar los riesgos asociados con el movimiento lateral para sus puntos finales bajo gestión.
3. Tanium Impact incluye datos de sesión en su análisis del movimiento lateral, lo que ayuda a los analistas a comprender los riesgos asociados con los ataques que comenzaron hace horas o incluso días.
Cuando un usuario inicia sesión en una cuenta en un endpoint, esa credencial de inicio de sesión puede permanecer en la memoria del endpoint hasta que se reinicie el endpoint. Los atacantes utilizan herramientas de robo de credenciales como Mimikatz para leer credenciales de inicio de sesión, hashes, tokens y PIN fuera de la memoria, para que puedan utilizarse para acceder a otros puntos finales.
Al hacer un seguimiento de las credenciales que han estado expuestas a los puntos finales, Impact ayuda a los analistas de seguridad a comprender los riesgos de seguridad asociados con el usuario o el endpoint.
Recopilar esta información es importante para detener el movimiento lateral en acción. Cuando los analistas de seguridad detectan una intrusión de red, deben trabajar lo más rápido posible para descubrir qué puntos finales se han visto comprometidos y qué permisos de usuario en ese endpoint podrían utilizarse para comprometer otros puntos finales.
Tanium Impact recopila esta información 72 horas atrás, lo que ayuda a los analistas a rastrear los movimientos laterales rápidamente, incluso para los ataques detectados uno o dos días después de que comenzaron.
4. Tanium Impact analiza el control directo y el control indirecto al evaluar el movimiento potencial de un endpoint, usuario o grupo.
El control directo significa que un usuario tiene control administrativo sobre un endpoint.
El control indirecto significa que un usuario pertenece a uno o más grupos con control administrativo sobre un endpoint.
Para comprender el riesgo del movimiento lateral, los analistas de seguridad necesitan información sobre el control directo e indirecto de sus puntos finales.
En muchas organizaciones, los permisos de acceso se vuelven más complicados con el tiempo. Los usuarios se asignan a grupos y algunos de esos grupos se asignan posteriormente a otros grupos, que, a su vez, pueden asignarse a otros grupos.
Las estructuras de grupos anidados pueden ser complicadas, pero los analistas de seguridad deben entenderlas si van a poder gestionar eficazmente los riesgos asociados con cualquier usuario, endpoint o grupo en particular.
Al analizar tanto el control directo como el indirecto que los usuarios tienen sobre los puntos finales, junto con los datos de la sesión, Impact brinda a los equipos de seguridad la visibilidad integral que necesitan para evaluar el riesgo de movimiento lateral y reducir ese riesgo tanto como sea posible.
La vista Control indirecto/directo muestra el ámbito administrativo para el endpoint de interés.
5. Tanium Impact asigna una calificación de impacto a usuarios/grupos/puntos finales, de modo que las organizaciones de TI puedan priorizar fácilmente los puntos finales y las cuentas de usuario que requieren atención para la mitigación de riesgos.
Tanium Impact analiza permisos y asigna calificaciones de impacto a puntos finales, usuarios y grupos en función de la exposición que crean para ataques mediante movimiento lateral.
Cuatro factores influyen en una calificación de impacto:
- Posible impacto entrante por parte de los usuarios
- Posible impacto entrante por puntos finales
- Posible impacto saliente por parte de los usuarios
- Posible impacto saliente por puntos finales
Asignar una calificación de impacto a usuarios/grupos/puntos finales ayuda a los equipos de seguridad de dos maneras.
- Primero, les ayuda a priorizar la corrección proactiva del riesgo de movimiento lateral.
- En segundo lugar, ayuda a los analistas de seguridad a priorizar las alertas que reciben de Tanium Threat Response u otras herramientas de informes de seguridad. Supongamos que un analista de seguridad ve dos alertas, una tiene un puntaje bajo para una probabilidad de movimiento lateral y otra tiene un puntaje críticamente alto. En ese caso, el analista sabe investigar primero la alerta del dispositivo con el puntaje alto.
Tanium Impact proporciona visibilidad esencial para una defensa cibernética efectiva
Como han demostrado los ciberataques recientes, los delincuentes pueden moverse rápidamente en casi cualquier red empresarial que infiltren. Mediante el movimiento lateral, los atacantes pueden ampliar el alcance de sus ataques y aumentar las probabilidades de descubrir los valiosos activos digitales de una empresa.
Para reducir la capacidad de un atacante para participar en este movimiento, las organizaciones de TI necesitan informes claros, detallados y procesables sobre usuarios, puntos finales y grupos.
Tanium Impact, disponible sin costo adicional como parte de Tanium Platform, proporciona los conocimientos que las organizaciones de TI necesitan para contrarrestar el movimiento lateral.
Tanium Impact proporciona visualizaciones claras y análisis de riesgos que ayudan a las organizaciones de TI a actuar de manera efectiva, ya sea participando proactivamente en la gestión de riesgos o respondiendo rápidamente a las amenazas.
¿Listo para verlo en acción? Solicite una demostración hoy mismo.
